Шпионское ПО через рекламную цепочку: Citizen Lab задокументировал zero-click-доставку «AdFection»
Доклад, опубликованный 15 октября 2026 года Citizen Lab — исследовательской группой Университета Торонто, — описывает способ доставки шпионского ПО с необычно низким порогом для жертвы: достаточно было показать таргетированную интернет-рекламу. Атака, которую исследователи назвали AdFection, не требовала ни клика, ни загрузки, ни диалогового окна подтверждения. По словам шестерых авторов доклада, наёмное шпионское ПО достигало целей через ту же рекламную инфраструктуру, за счёт которой финансируются обычные сайты.
Эта находка важна для всех, кто считает известные новостные сайты и другие устоявшиеся домены заведомо безопасными поверхностями. Заражения произошли не на сомнительной странице и не через фишинговое сообщение. Они случились внутри рекламных блоков обычных веб-страниц, размещённых сетями, которые большинство издателей никогда не проверяет, а большинство читателей вообще не видит. Рекламный блок — одно из немногих мест, где посторонний контент загружается на страницу автоматически, что делает его естественной точкой интереса для тех, кто изучает поверхность атаки, а не репутацию. Как рекламный блок стал каналом доставки
Доклад «Exposing AdFection» документирует, как Discover-Tech, израильская ad-tech-компания, заказала и оплатила вредоносную рекламу и направила её на выбранные цели. За кампанией стояла Candiru — поставщик наёмного шпионского ПО, который, как отмечает Citizen Lab, теперь тайно работает под именем «Integrity Labs». Откупив себе место в рекламной экосистеме, операция связала поставщика шпионского ПО с каналом, которому издатели и их аудитория не имели почти никаких причин не доверять. Citizen Lab подтвердил заражения на устройствах сотрудников Al Jazeera, чьи собственные материалы подтверждают этот случай. По данным Комитета по защите журналистов, пострадало не менее 45 устройств. Исследователи далее пишут, что есть признаки того, что среди целей было и министерство иностранных дел Саудовской Аравии; эта часть остаётся неподтверждённой, и её следует воспринимать как утверждение, а не как установленный факт. Определяющая черта AdFection в том, что показ рекламы и заражение совпали. Жертвы ничего не кликали и ничего не устанавливали. В стандартной модели суждение пользователя — последний рубеж защиты, который должен рухнуть; в этой атаке этот рубеж вообще не участвовал в цепочке. Годами исследования безопасности браузеров рассматривали идею, что один лишь просмотр веб-контента может скомпрометировать устройство, как теоретически худший сценарий; доклад показывает, что на практике это осуществлено против конкретных людей через коммерческий канал. Реакция отрасли
Как только выводы стали публичными, часть рекламной индустрии поспешила отрезать компании доступ. Как сообщает немецкий технический сайт Tarnkappe, Google прекратил доступ Discover-Tech к своей рекламной платформе, а IAB Europe исключила компанию из своих списков поставщиков. Beeswax/FreeWheel и Eskimi разорвали партнёрство с Discover-Tech, а Vungle/Liftoff приостановила его доступ до проверки. Al Jazeera, чьи сотрудники оказались среди заражённых, самостоятельно освещала это дело, а профильные издания по безопасности, такие как The Record, продолжили освещение этих выводов. Широта реакции сама по себе примечательна: за считанные дни после публикации один исследовательский доклад изменил коммерческое положение ad-tech-компании на нескольких центральных платформах отрасли. Что это значит для операционной безопасности
Для тех, кто всерьёз относится к операционной безопасности, урок неприятен. Большинство личных рекомендаций строится вокруг того, по чему не кликать, и предполагает, что осторожность в момент взаимодействия достаточна. Канал доставки, не требующий взаимодействия, перечёркивает это допущение. Остаётся установка исправлений, блокировка рекламы и фильтрация на уровне сети — меры, которые многие, включая технически подкованных пользователей, применяют непоследовательно. Доверенный сайт настолько чист, насколько чист сторонний контент, который он встраивает, а реклама — самый распространённый сторонний контент в интернете. Мы уже писали о цене для приватности встраиваемых сторонних виджетов; AdFection показывает, что ставки могут доходить до полного захвата устройства. Этот случай перекликается и с более старой историей. В конце 2000-х drive-by-загрузки делали вредоносные страницы опасными при одном лишь посещении, и стандартный совет состоял в том, чтобы держаться подальше от сомнительных сайтов и вовремя обновлять программное обеспечение. AdFection принадлежит к этой традиции, но переворачивает геометрию: вредоносный контент двигался к жертве через уважаемых издателей, а не наоборот. Рекламная сеть — это, функционально, глобальная система распространения контента с ограниченной прозрачностью того, кто может платить за размещение и кто увидит результат. Эта непрозрачность — не случайность системы; она заложена в устройство рынка. Пока это не изменится, разумный подход по умолчанию — считать любую встроенную рекламу недоверенным контентом, на любом сайте.
